Connessione a un peer Cisco ASAv

È possibile utilizzare IBM Cloud VPN for VPC per connettere in modo sicuro il VPC a una rete on-premises attraverso un tunnel VPN. Questo argomento fornisce indicazioni su come configurare il gateway VPN Cisco ASAv per connettersi a VPN for VPC.

Leggete Problemi noti per i gateway VPN prima di continuare a connettervi al vostro peer on-premises.

Connessione di una VPN basata sulla politica IBM a un peer Cisco ASAv

Cisco ASAv utilizza IKEv2 quando hai più sottoreti sul VPC IBM o sulla tua rete in loco e sul tuo dispositivo VPN in loco. È necessario creare una connessione VPN per una coppia di sottorete su un gateway IBM VPN perché Cisco ASAv crea una nuova associazione di sicurezza (SA) per coppia di sottorete.

Queste istruzioni sono basate su Cisco ASAv, Cisco Adaptive Security Appliance Software Version 9.10(1).

Il primo passo per la configurazione di Cisco ASAv per l'utilizzo di VPN for VPC consiste nell'assicurarsi che siano soddisfatte le seguenti condizioni preliminari:

Cisco ASAv è online e funzionante con una licenza appropriata.
È abilitata una password per Cisco ASAv.
Ci sia almeno un'interfaccia interna funzionale verificata e configurata.
Ci sia almeno un'interfaccia esterna funzionale verificata e configurata.

Quando un Cisco ASAv VPN riceve una richiesta di connessione da VPN for VPC, utilizza i parametri IKE Fase 1 per stabilire una connessione sicura e autenticarsi a VPN for VPC. Quindi, se il criterio di sicurezza consente la connessione, Cisco ASAv stabilisce il tunnel utilizzando i parametri IPsec Fase 2 e applica il criterio di sicurezza IPsec. I servizi di sicurezza, autenticazione e di gestione della chiave vengono negoziati in modo dinamico tramite il protocollo IKE.

Per supportare queste funzioni, è necessario eseguire i seguenti passi di configurazione generali sulla VPN Cisco ASAv:

Assicurarsi che l'indirizzo IP pubblico per Cisco ASAv sia configurato direttamente su ASAv. Utilizzare crypto isakmp identity address per assicurarsi che Cisco ASAv utilizzi l'indirizzo IP pubblico dell'interfaccia come propria identità.

Questa impostazione globale si applica a tutte le connessioni sulla periferica Cisco. Quindi, se è necessario mantenere più connessioni, impostare crypto isakmp identity auto per garantire che la periferica Cisco determini automaticamente l'identità per tipo di connessione.
Definire i parametri della Fase 1 che Cisco ASAv VPN richiede per autenticare VPN for VPC e stabilire una connessione sicura.
Definire i parametri di Fase 2 che Cisco ASAv VPN richiede per creare un tunnel VPN con VPN for VPC.

Il dispositivo ASAv supporta i gruppi di oggetti per la funzione ACL. Questa funzione estende gli ACL convenzionali per supportare gli ACL basati sui gruppi di oggetti. Puoi creare il seguente gruppo di oggetti in base alle tue sottoreti VPC e in loco:

# define network object according to your VPC and on-premises subnet
object-group network on-premise-subnets
 network-object 172.16.0.0 255.255.0.0
object-group network ibm-vpc-zone3-subnets
 network-object 10.241.129.0 255.255.255.0
object-group network ibm-vpc-zone2-subnets
 network-object 10.240.64.0 255.255.255.0

Crea un oggetto proposta IKE versione 2. IKEv2 gli oggetti proposal contengono i parametri necessari per la creazione di proposte IKEv2 quando si definiscono i criteri di accesso remoto e VPN site-to-site. IKE è un protocollo di gestione delle chiavi che facilita la gestione delle comunicazioni basate su IPsec. Viene utilizzato per autenticare i peer IPsec, negoziare e distribuire le chiavi di crittografia IPsec e stabilire automaticamente le associazioni di sicurezza (SA) IPsec.

In questo blocco, i parametri seguenti vengono impostati come esempio. Puoi selezionare altri parametri in base alla politica di sicurezza della tua azienda; tuttavia, assicurati di utilizzare parametri identici sul gateway IBM VPN e ASAv.

Algoritmo di crittografia- In questo esempio, impostare aes-256.
Algoritmo di integrità- In questo esempio, impostare sha256.
Gruppo Diffie-Hellman- IPsec utilizza l'algoritmo Diffie-Hellman per generare la chiave di crittografia iniziale tra i peer. In questo esempio, è impostato sul gruppo 19.
Pseudo-Random Function (PRF)- IKEv2 richiede un metodo separato che viene utilizzato come algoritmo per ricavare il materiale di chiave e le operazioni di hashing necessarie per la crittografia del tunnel IKEv2. Questa viene definita funzione pseudocasuale ed è impostata su sha256.
SA Lifetime- Impostare la durata delle associazioni di sicurezza (dopo la quale si verifica una riconnessione) su 36000 secondi.

crypto ikev2 policy 100
encryption aes-256
integrity sha256
group 19
prf sha256
lifetime seconds 36000
crypto ikev2 enable outside

Creare una politica IPsec per la connessione. IKEv2 supporta più crittografie e tipi di autenticazione e più algoritmi di integrità per una singola politica. L'ASAv ordina le impostazioni dal "più sicuro" al "meno sicuro" e negozia con il peer utilizzando tale ordine.

# Create IPsec policy, IKEv2 support multiple proposals
crypto ipsec ikev2 ipsec-proposal ibm-vpc-proposal
 protocol esp encryption aes-256
 protocol esp integrity sha-256

Creare la politica del gruppo e il gruppo di tunnel. L'indirizzo peer e la chiave precondivisa sono configurati in questo passo.

# Create VPN default group policy
group-policy ibm_vpn internal
group-policy ibm_vpn attributes
 vpn-tunnel-protocol ikev2

# Create the tunnel-group to configure pre-shared keys, 150.239.170.57 is public IP of IBM policy-based VPN gateway
tunnel-group 150.239.170.57 type ipsec-l2l
tunnel-group 150.239.170.57 general-attributes
 default-group-policy ibm_vpn
tunnel-group 150.239.170.57 ipsec-attributes
 ikev2 remote-authentication pre-shared-key <your pre-shared key>
 ikev2 local-authentication pre-shared-key <your pre-shared key>

Crea un ACL per far corrispondere il traffico da installato in loco a VPC. Per il traffico da VPC a locale, ASAv utilizza la SPI per cercare il selettore del traffico. Assicurarsi che entrambi i lati stiano utilizzando un selettore di traffico corrispondente.

access-list outside_cryptomap_ibm_vpc_zone2 extended permit ip object-group on-premise-subnets object-group ibm-vpc-zone2-subnets

Crea una mappa crittografica per unire i diversi elementi del tunnel VPN e attivarla sull'interfaccia esterna. 150.239.170.57 è l'IP pubblico del gateway VPN basato sulla politica IBM.

crypto map ibm_vpc 1 match address outside_cryptomap_ibm_vpc_zone2
crypto map ibm_vpc 1 set peer 150.239.170.57
crypto map ibm_vpc 1 set ikev2 ipsec-proposal ibm-vpc-proposal
crypto map ibm_vpc 1 set pfs group19
crypto map ibm_vpc interface outside

Se si dispone di regole NAT sui dispositivi ASAv, è necessario esentare il traffico sulla VPN dalle regole NAT.

nat (inside,outside) source static on-premise-subnets on-premise-subnets destination static ibm-vpc-zone2-subnets ibm-vpc-zone2-subnets

Configurare il bloccaggio MSS TCP su ASAv per evitare una frammentazione non necessaria:

sysopt connection tcpmss 1360

Connessione di una VPN statica basata sull'instradamento IBM a un peer Cisco ASAv

Queste istruzioni sono basate su Cisco ASAv, Cisco Adaptive Security Appliance Software Version 9.10(1).

Il primo passo per la configurazione di Cisco ASAv per l'utilizzo di VPN for VPC consiste nell'assicurarsi che siano soddisfatte le seguenti condizioni preliminari:

Cisco ASAv è online e funzionante con una licenza appropriata.
È abilitata una password per Cisco ASAv.
Ci sia almeno un'interfaccia interna funzionale verificata e configurata.
Ci sia almeno un'interfaccia esterna funzionale verificata e configurata.

Per supportare queste funzioni, è necessario eseguire i seguenti passi di configurazione generali sulla VPN Cisco ASAv:

Assicurarsi che l'indirizzo IP pubblico per Cisco ASAv sia configurato direttamente su ASAv. Utilizzare crypto isakmp identity address per assicurarsi che Cisco ASAv utilizzi l'indirizzo IP pubblico dell'interfaccia come propria identità.

Questa impostazione globale si applica a tutte le connessioni sulla periferica Cisco, quindi se è necessario mantenere più connessioni, impostare crypto isakmp identity auto per garantire che la periferica Cisco determini automaticamente l'identità per tipo di connessione.
Definire i parametri della Fase 1 che Cisco ASAv VPN richiede per autenticare VPN for VPC e stabilire una connessione sicura.
Definire i parametri di Fase 2 che Cisco ASAv VPN richiede per creare un tunnel VPN con VPN for VPC.

In questo blocco, i parametri seguenti vengono impostati come esempio. È possibile scegliere altri parametri in base alla politica di sicurezza della società; tuttavia, assicurarsi di utilizzare parametri identici sul gateway IBM VPN e ASAv.

Algoritmo di crittografia- In questo esempio, impostare aes-256.
Algoritmo di integrità- In questo esempio, impostare sha256.
Gruppo Diffie-Hellman- IPsec utilizza l'algoritmo Diffie-Hellman per generare la chiave di crittografia iniziale tra i peer. In questo esempio, è impostato sul gruppo 19.
Pseudo-Random Function (PRF)- IKEv2 richiede un metodo separato che viene utilizzato come algoritmo per ricavare il materiale di chiave e le operazioni di hashing necessarie per la crittografia del tunnel IKEv2. Questa viene definita funzione pseudocasuale ed è impostata su sha256.
SA Lifetime- Impostare la durata delle associazioni di sicurezza (dopo la quale si verifica una riconnessione) su 86400 secondi.

crypto ikev2 policy 100
 encryption aes-256
 integrity sha256
 group 19
 prf sha256
 lifetime seconds 86400
crypto ikev2 enable outside

Creare un profilo IPsec per VTI (Virtual Tunnel Interface). Il profilo fa riferimento alla proposta IPsec e il VTI fa riferimento al profilo. Assicurati che il gateway IBM VPN IBM e ASAv utilizzino parametri di profilo IPsec e di proposta IPsec identici.

crypto ipsec ikev2 ipsec-proposal ibm-ipsec-proposal
 protocol esp encryption aes-256
 protocol esp integrity sha-256
crypto ipsec profile ibm-ipsec-profile
 set ikev2 ipsec-proposal ibm-ipsec-proposal
 set pfs group19
 set security-association lifetime kilobytes unlimited
 set security-association lifetime seconds 3600
 responder-only

Creare il gruppo di tunnel per il tunnel primario IBM. L'indirizzo peer 169.59.210.199 è il piccolo IP pubblico del gateway VPN basato sull'instradamento IBM e la chiave precondivisa deve essere uguale al gateway VPN basato sull'instradamento IBM. Per ulteriori informazioni sul piccolo IP pubblico, vedi questa nota importante.

tunnel-group 169.59.210.199 type ipsec-l2l
tunnel-group 169.59.210.199 ipsec-attributes
 ikev2 remote-authentication pre-shared-key <your-pre-shared-key>
 ikev2 local-authentication pre-shared-key <your-pre-shared-key>

Creare l'interfaccia del tunnel virtuale e configurare l'indirizzo link - local (169.254.0.2/30) sull'interfaccia. Fare attenzione a scegliere l'indirizzo locale del collegamento e assicurarsi che non si sovrappongano con altri indirizzi sul dispositivo. Ci sono due indirizzi IP disponibili (169.254.0.1 e 169.254.0.2) in una sottorete con una maschera di rete a 30 bit. Il primo indirizzo IP 169.254.0.1 viene utilizzato come indirizzo VTI del gateway IBM VPN ; il secondo, 169.254.0.2, viene utilizzato come indirizzo VTI ASAv. Se si dispone di più di un VTI su ASAv, è possibile scegliere un'altra sottorete locale di collegamento, ad esempio 169.254.0.4/30, 169.254.0.8/30 e così via.

Non è necessario configurare 169.254.0.1 sul gateway IBM VPN. Vi si fa riferimento solo quando si configurano gli instradamenti su ASAv.

interface Tunnel1
 nameif ibm-gateway-primary-tunnel
 no shutdown
 ip address 169.254.0.2 255.255.255.252
 tunnel source interface outside
 tunnel destination 169.59.210.199
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile ibm-ipsec-profile
!

Aggiungere un instradamento all'ASAv. La destinazione 10.240.65.0 è la sottorete VPC IBM e l'hop successivo è l'indirizzo VTI del gateway IBM VPN. La distanza del percorso è 1.

route ibm-gateway-primary-tunnel 10.240.65.0 255.255.255.0 169.254.0.1 1

Creare il gruppo di tunnel per il tunnel secondario IBM. L'indirizzo peer 169.59.210.200 è il grande IP pubblico del gateway VPN basato sull'instradamento IBM e la chiave precondivisa deve essere uguale al gateway VPN basato sull'instradamento IBM. Per ulteriori informazioni sull'IP pubblico di grandi dimensioni, vedi questa nota importante.

tunnel-group 169.59.210.200 type ipsec-l2l
tunnel-group 169.59.210.200 ipsec-attributes
 ikev2 remote-authentication pre-shared-key <your-pre-shared-key>
 ikev2 local-authentication pre-shared-key <your-pre-shared-key>
!

Creare l'interfaccia del tunnel virtuale e configurare l'indirizzo link - local (169.254.0.6/30) sull'interfaccia. Fare attenzione a scegliere l'indirizzo locale del collegamento e assicurarsi che non si sovrappongano con altri indirizzi sul dispositivo. Ci sono due indirizzi IP disponibili (169.254.0.5 e 169.254.0.6) in una sottorete con una maschera di rete a 30 bit. Il primo indirizzo IP 169.254.0.5 viene utilizzato come indirizzo VTI del gateway IBM VPN ; il secondo, 169.254.0.6 viene utilizzato come indirizzo VTI ASAv. Se si dispone di più di un VTI su ASAv, è possibile scegliere un'altra sottorete locale di collegamento, ad esempio 169.254.0.0/30, 169.254.0.8/30 e così via.

Non è necessario configurare 169.254.0.5 sul gateway IBM VPN. Vi si fa riferimento solo quando si configurano gli instradamenti su ASAv.

interface Tunnel2
 nameif ibm-gateway-secondary-tunnel
 no shutdown
 ip address 169.254.0.6 255.255.255.252
 tunnel source interface outside
 tunnel destination 169.59.210.200
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile ibm-ipsec-profile
!

Aggiungere un instradamento all'ASAv. La destinazione 10.240.65.0 è la sottorete IBM VPC e l'hop successivo è l'indirizzo VTI secondario del gateway IBM VPN. La distanza del percorso è 10.

route ibm-gateway-secondary-tunnel 10.240.65.0 255.255.255.0 169.254.0.5 10

Configurare il bloccaggio MSS TCP su ASAv per evitare una frammentazione non necessaria:

sysopt connection tcpmss 1360